Сохраняются куки авторизации на сайте.
По идее,эксплуатируется именно уязвимость self-xss на тех ресурсах,которые работают с куками.
Система не причём,всё основано на социальной инженерии с вынуждением перехода по ссылке.
Если Вы имели в виду установка на собственном ресурсе вредоносных java-скриптов с редиректами,то там несколько иные технологии атак применяются.